117-AWS SAP AWS 「理論・実践・一問道場」新しいユーザーのすべてのアクセスが自動的に削除

type

status

date

slug

summary

理論

AWSにおけるIAMユーザー管理とセキュリティ設計

IAMユーザーの役割と管理

IAM (Identity and Access Management) は、AWSリソースへのアクセスを制御するための重要なサービスです。

IAMユーザーは、AWSアカウントのリソースにアクセスするために作成される個別のエンティティであり、特定の認証情報（パスワード、アクセスキーなど）を持ちます。

適切な権限管理を行わないと、誤操作やセキュリティインシデントにつながる可能性があります。

IAMユーザー作成時のセキュリティリスク

デフォルトアクセス権の乱用 新規ユーザーに不要な権限を付与すると、リソースが過剰に利用される可能性があります。

セキュリティインシデント ユーザー作成後、権限がすぐに有効になると、不正アクセスのリスクが高まります。

IAMユーザーの作成とアクセス制御の自動化

AWSでは、IAMユーザー管理において以下の自動化が可能です：

EventBridgeでのイベント検知 CloudTrailからのAPIコールイベント（例：CreateUser）を監視。

Step Functionsでのワークフロー管理 アクセス権限削除や承認プロセスを一括管理。

SNSによる通知 セキュリティチームへの即時通知を実現。

イベント駆動型アーキテクチャの活用

AWSでは、イベント駆動型アーキテクチャを利用することで、リアルタイムの監視と対応が可能です。

EventBridgeの役割

EventBridgeは、AWSサービスやサードパーティアプリケーションのイベントを検知し、他のサービスをトリガーするサービスです。以下の特徴があります：

柔軟なイベントフィルタリング 例えば、IAMユーザー作成時のみ特定のルールをトリガー可能。

多様なターゲット Lambda、Step Functions、SNS、ECSなどをターゲットとして設定できます。

AWS Step Functionsによるプロセス自動化

Step Functionsは、複数のAWSサービスを統合し、シンプルなワークフローから複雑なプロセスまで管理するサービスです。

IAMユーザーのアクセス削除フロー例

EventBridgeでCreateUserイベントを検知。

Step Functionsが以下のステップを実行：

ユーザーの権限を削除（IAM APIのDetachUserPolicyなどを使用）。

処理結果をSNSで通知。

通知と承認プロセス

Amazon SNSの役割

通知送信 セキュリティチームへのリアルタイム通知。

複数の送信先 Eメール、SMS、モバイルプッシュ通知などに対応。

ベストプラクティス

最小権限の原則 (Principle of Least Privilege) ユーザーやロールに必要最低限の権限を付与。

リアルタイム監視の導入 CloudTrailとEventBridgeを活用してセキュリティイベントを検知。

自動化と手動プロセスのバランス 自動化で効率化しつつ、最終承認は手動で行うことでセキュリティを確保。

この知識を活用することで、IAMユーザー管理をより安全かつ効率的に行い、AWS環境のセキュリティを強化できます。

実践

略

一問道場

トピック1

ある会社がAWSクラウド上でアプリケーションを運用しています。

この会社のセキュリティチームは、新しいIAMユーザーを作成する際に必ず承認を行う必要があります。

新しいIAMユーザーが作成されると、そのユーザーのすべてのアクセスが自動的に削除される必要があります。

その後、セキュリティチームがユーザーを承認するための通知を受け取る必要があります。

この会社はAWSアカウント内でマルチリージョンAWS CloudTrailトレイルを使用しています。

この要件を満たすためのステップの組み合わせはどれですか？（3つ選択してください。）

A. Amazon EventBridge（Amazon CloudWatch Events）のルールを作成します。

詳細タイプ（detail-type）をAWS API Call via CloudTrailに設定し、eventNameをCreateUserに設定してパターンを定義します。

B. CloudTrailを設定して、CreateUserイベントの通知をAmazon Simple Notification Service（Amazon SNS）トピックに送信します。

C. AWS Fargate技術を使用してAmazon Elastic Container Service（Amazon ECS）で実行されるコンテナを呼び出し、アクセスを削除します。

D. AWS Step Functionsステートマシンを呼び出してアクセスを削除します。

E. Amazon Simple Notification Service（Amazon SNS）を使用してセキュリティチームに通知します。

解説

要件のポイント

新しいIAMユーザーが作成された際に自動でアクセスを削除する必要がある。

セキュリティチームが通知を受け取り、ユーザーを承認するプロセスが必要である。

AWS CloudTrailを活用する。

選択肢の評価

A. Amazon EventBridge（Amazon CloudWatch Events）のルールを作成

解説： EventBridgeのルールを設定することで、特定のイベント（この場合はCreateUserイベント）が発生した際にトリガーを設定できます。これにより、IAMユーザーの作成イベントを検知できます。

正解： 要件を満たすために必要です。

B. CloudTrailを設定して通知をSNSトピックに送信

解説： CloudTrail自体には通知機能がありません。ただし、EventBridgeと連携することで、指定されたイベントが発生した際にSNSトピックに通知を送ることができます。しかし、この選択肢はCloudTrailから直接通知を送ることを指しているため不正確です。

不正解： CloudTrailは通知を直接送信しません。

C. AWS Fargate技術を使用してAmazon ECSで実行されるコンテナを呼び出す

解説： IAMユーザーのアクセスを削除するアクションは、LambdaやStep Functionsで実現するのが一般的であり、ECSを利用するのは効率が良くありません。

不正解： 不要に複雑です。

D. AWS Step Functionsを呼び出してアクセスを削除

解説： Step Functionsを使うことで、一連のプロセス（例：アクセス削除→通知）を実行できます。この要件を満たす効率的な方法の一つです。

正解： 要件を満たすために適しています。

E. Amazon SNSを使用してセキュリティチームに通知

解説： SNSは通知を送信するために最適なサービスです。セキュリティチームへの通知手段として妥当です。

正解： 要件を満たすために必要です。

F. Amazon Pinpointを使用してセキュリティチームに通知

解説： Pinpointは主にマーケティング向けの通知サービスであり、セキュリティチームへの通知には適していません。

不正解： 要件に適合しません。

正解の組み合わせ

A. EventBridgeルールを作成

D. Step Functionsを呼び出す

E. SNSを使用して通知

実現の流れ

EventBridgeのルールを作成

CreateUserイベントを検知。

Step Functionsでアクセス削除を実行

作成されたIAMユーザーの権限を削除。

SNSでセキュリティチームに通知

セキュリティチームが承認作業を実施可能。

これにより、要件をすべて満たす仕組みが完成します。